Analisi dei rischi e modello organizzativo di gestione e controllo privacy

Il processo di adeguamento alla normativa sulla protezione dei dati personali, finalizzato a consentire al titolare del trattamento il pieno rispetto di tutti i vincoli normativi in materia di privacy, necessita di una attività preliminare di analisi dei rischi che fonda le basi per la predisposizione di idonei modelli organizzativi per la gestione e il controllo dei dati personali.

In una fase preliminare dell’approccio con la realtà aziendale l’attenzione viene infatti rivolta all’analisi del contesto operativo, delle articolazioni di struttura e dei flussi interni ed esterni di dati personali al fine di evidenziare le eventuali criticità presenti e i rischi connessi alle specifiche attività svolte.

L’analisi dei rischi: un’opportunità oltre la necessità

La predisposizione di una attività di valutazione dei rischi, indipendentemente dal fatto che essa risulti, nel caso specifico, obbligatoria o meno, oltre ad essere necessaria per identificare e codificare i rischi potenzialmente correlati al trattamento dei dati risulta avere uno specifico valore aggiunto: l'opportunità di prevenire l’eventualità che determinate problematiche emergano in uno stadio avanzato del trattamento, esponendo il titolare del trattamento a rischi elevati anche da un punto di vista economico.

Le fasi in cui si sviluppa il processo sono le seguenti:

  • analisi dei rischi, ovvero valutazione oggettiva circa i rischi che comporta il trattamento dei dati e misurazione del grado di rischio;
  • definizione della lista delle criticità;
  • predisposizione del programma di intervento.

Un modello organizzativo per un sistema aziendale conforme alla normativa privacy

Il programma di intervento, predisposto in base alla natura e alla tipologia delle criticità riscontrate, oltre alla mera eliminazione dei comportamenti in contrasto con la normativa, prevede in genere l’elaborazione e l’adozione di specifici modelli di organizzazione e di gestione che assicurino un sistema aziendale conforme alla normativa sulla protezione dei dati personali con riferimento in particolare:

  • all’inquadramento dei ruoli ed alla progettazione condivisa di un organigramma di privacy funzionale al governo di adempimenti ed alla gestione delle criticità;
  • al rispetto degli standard tecnico-strutturali di legge relativi alla tipologia di attività svolta, alle modalità con cui vengono trattati i dati personali, alle attrezzature utilizzate nel processo di gestione del flusso di dati e ai conseguenti adempimenti privacy da porre in essere (informative, consensi, nomine, istruzioni, procedure interne, notifiche, misure di sicurezza, ecc…);
  • alla attività di informazione e formazione delle figure interne di riferimento (management, responsabili e incaricati) finalizzate sia ad un aspetto più operativo di condivisione delle istruzioni di condotta in applicazione del modello sia alla creazione di una vera e propria “cultura” aziendale in materia di diritto alla protezione dei dati personali;
  • all’introduzione di un idoneo sistema di controllo sull'attuazione del modello stesso e sul mantenimento nel tempo delle condizioni di idoneità delle misure adottate in grado di monitorare come le misure preventive si siano integrate nel concreto nei processi/trattamenti introdotti.

 

La nostra consulenza

In particolare, il nostro team di professionisti fornisce consulenza e assistenza nel processo di adeguamento e mantenimento del livello di conformità alla normativa sulla protezione dei dati personali personalizzato in base alle caratteristiche della realtà aziendale di riferimento.

Una prima fase riguarda l’attività di mappatura dell’organizzazione aziendale esistente. Essa si svolge attraverso un censimento generale di tutti i trattamenti di dati effettuati, delle finalità e delle politiche di trattamento, delle misure di sicurezza adottate e delle figure coinvolte nella gestione dei dati e si conclude con la valutazione dei rischi connessi ai trattamenti in essere.

In relazione a quanto emerso in sede di analisi, l’attività di consulenza si sostanzia quindi in una serie coordinata di azioni che possono riguardare, a seconda degli aspetti critici rilevati, la revisione della documentazione (informative e formule di consenso da rendere agli interessati, deleghe privacy agli addetti, atti di nomina degli incaricati del trattamento e/o del responsabile del trattamento, contrattualistica, ecc..), l’introduzione di nuove procedure interne (raccolta, trattamento, archiviazione, comunicazione, ecc..) e/o la modifica ed implementazione di quelle già in essere, la strutturazione di specifiche privacy policies e ogni altra attività tesa a garantire al titolare del trattamento il pieno rispetto di tutti i vincoli normativi in materia di privacy.

L’elaborazione infine di un modello di organizzazione, gestione e controllo che riassuma e standardizzi per il futuro un nuovo assetto aziendale in grado di recepire tutte le procedure sopra esposte, chiude virtualmente il processo di adeguamento fornendo alle figure interne di riferimento (responsabili e incaricati) lo stato raggiunto e i suggerimenti per un mantenimento attivo di tale assetto virtuoso.